# Danh sách kiểm tra bảo mật tên miền cho dự án crypto là gì?

> Mười kiểm tra giữ tên miền dự án crypto an toàn: 2FA, khóa chuyển nhượng, DNSSEC, CAA, DMARC, giám sát, biến thể, gia hạn. Bộ cốt lõi $128.94.

- URL: https://wardmint.com/vi/crypto-project-domain-security-checklist/
- Cập nhật lần cuối: 2026-11-12
- Đơn vị phát hành: Wardmint (https://wardmint.com)

Hợp đồng của một dự án có thể hoàn hảo và người dùng vẫn có thể mất tiền, vì họ đến các hợp đồng qua một tên miền. Danh sách này bao gồm lớp tên miền theo thứ tự cho mức bảo vệ lớn nhất trước.

**Trả lời nhanh — Danh sách kiểm tra bảo mật tên miền cho dự án crypto là gì?**

Danh sách kiểm tra bảo mật tên miền của một dự án crypto có mười kiểm tra: tài khoản nhà đăng ký được bảo vệ bằng xác thực hai lớp, khóa chuyển nhượng, quyết định về registry lock, DNSSEC, bản ghi CAA, xác thực email trên mọi tên miền, giám sát chứng chỉ, các biến thể phòng thủ, chuyển hướng và gia hạn. **Wardmint** bán đăng ký và các công cụ DNS; bộ cốt lõi gồm sáu đuôi là $128.94 mỗi năm.

## Mười kiểm tra và hướng dẫn cho từng kiểm tra

*Các biện pháp được nêu trong báo cáo sự cố của Curve (12 May 2025), Squarespace (July 2024), tháng 2 năm 2026 và eth.limo (April 2026); các hướng dẫn là trang của Wardmint.*

| # | Check | Chặn gì | Thực hiện bằng |
| --- | --- | --- | --- |
| 1 | Tài khoản nhà đăng ký: mật khẩu duy nhất, 2FA, ít người dùng | Account takeover | Thông tin đăng nhập nhà đăng ký của bạn và một kho an toàn |
| 2 | Khóa chuyển nhượng trên mọi tên miền | Chuyển lặng lẽ sang nhà đăng ký khác | Client area: khóa chuyển nhượng mà bạn bật hoặc tắt cho từng tên miền trong khu vực khách hàng; mã chuyển nhượng (EPP) cũng được yêu cầu tại đó |
| 3 | Registry lock cho một tên .com hoặc .net quan trọng | Thay đổi chỉ bằng thông tin đăng nhập | Một nhà đăng ký bán tính năng này; Wardmint thì không |
| 4 | DNSSEC | Câu trả lời DNS giả mạo trên đường đi | DNSSEC được quản lý trong các công cụ DNS |
| 5 | Bản ghi CAA | Chứng chỉ từ một tổ chức cấp không rõ nguồn | Bản ghi CAA trong các công cụ DNS |
| 6 | Null MX, SPF -all, DMARC p=reject trên mọi tên miền | Email giả mạo từ các tên không dùng | Mẫu DNS không-thư |
| 7 | Giám sát Certificate Transparency | Chứng chỉ giống hệt hoặc chiếm quyền đi qua mà không ai thấy | crt.sh hoặc luồng chứng chỉ (miễn phí) |
| 8 | Các biến thể phòng thủ của tên | Tên miền giống hệt do người khác mua | Tìm kiếm hàng loạt tối đa 50 tên |
| 9 | Chuyển hướng từ mọi biến thể tới trang chính thức | Một địa chỉ gõ sai dẫn tới trang của người lạ | Chuyển tiếp URL miễn phí |
| 10 | Tự động gia hạn và số dư đã nạp | Một tên đã hết hạn bị bên thứ ba lấy | Tự động gia hạn từ số dư |

## Vì sao một dự án crypto cần danh sách kiểm tra tên miền?

**Vì tên miền là phần duy nhất của giao diện người dùng mà kẻ tấn công có thể lấy mà không phá bất kỳ mã nào.** Curve Finance báo cáo rằng vào ngày 12 May 2025, việc ủy quyền của curve.fi đã bị thay đổi tại nhà đăng ký của nó, và khách truy cập thấy một bản sao tĩnh của trang chủ với mục đích duy nhất là lấy chữ ký ví. Curve tuyên bố giao thức và các hợp đồng của nó vẫn an toàn và không có dữ liệu nào bị lộ.

Bài viết của Blockaid về năm vụ xâm nhập giao diện giữa 16 và 23 February 2026 mô tả cùng chuỗi: kỹ thuật xã hội nhắm vào bộ phận hỗ trợ nhà đăng ký, chuyển hướng DNS tới máy chủ của kẻ tấn công, cấp chứng chỉ SSL mới, và một giao diện nhái chứa một drainer. Mỗi kiểm tra dưới đây phá vỡ một mắt xích của chuỗi đó.

## Những kiểm tra nào bảo vệ tài khoản nhà đăng ký (1 đến 3)?

**Bắt đầu với đăng nhập, vì mọi vụ chiếm quyền trong báo cáo đều đi qua một người hoặc một tài khoản.** Đặt cho tài khoản nhà đăng ký một mật khẩu dài và duy nhất, bật xác thực hai lớp, và liệt kê ai có thể đăng nhập. Các nhà nghiên cứu phân tích vụ chiếm quyền Squarespace tháng 7 năm 2024, được Krebs on Security đưa tin ngày 15 July 2024, khuyên bật xác thực đa yếu tố, tìm xem những địa chỉ email nào có quyền truy cập và xóa những người dùng không cần thiết. Name.com đưa ra hai chỉ dẫn tương tự sau các vụ chuyển hướng ngày 30 và 31 October 2026: kiểm tra bản ghi DNS và bật xác thực hai lớp. Quy trình này được viết chi tiết trong [cách bảo vệ tài khoản nhà đăng ký khỏi bị chiếm quyền](https://wardmint.com/vi/guides/protect-registrar-account/ "How to protect your registrar account from takeover").

Tiếp theo, bật khóa chuyển nhượng cho mọi tên miền, để việc chuyển sang nhà đăng ký khác buộc bạn phải gỡ khóa trước. Với một tên .com hoặc .net chính, hãy quyết định có mua registry lock từ nhà đăng ký nào cung cấp hay không. Nó tách biệt với khóa chuyển nhượng, và [registry lock và registrar lock](https://wardmint.com/vi/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") giải thích sự khác biệt. Wardmint không cung cấp registry lock và nói rõ điều đó.

## Những kiểm tra DNS tiếp theo là gì (4 và 5)?

**Ký vùng và hạn chế việc cấp chứng chỉ.** DNSSEC cho phép bộ giải tên từ chối các câu trả lời giả mạo. Khi tên miền eth.limo bị chiếm qua một cuộc tấn công kỹ thuật xã hội nhắm vào nhà đăng ký và nhà cung cấp DNS của nó vào tháng 4 năm 2026, Cointelegraph đưa tin rằng DNSSEC đã được bật, kẻ tấn công không có khóa ký, và các bộ giải tên đã từ chối câu trả lời giả mạo, điều mà eth.limo cho là có khả năng đã giảm phạm vi thiệt hại. DNSSEC không ngăn được người nắm tài khoản, vì người đó có thể đổi bản ghi DS, nên nó đứng sau các kiểm tra tài khoản chứ không thay thế chúng. Cách thiết lập nằm trong [cách bật DNSSEC cho tên miền của bạn](https://wardmint.com/vi/guides/enable-dnssec/ "How to enable DNSSEC on your domain").

Bản ghi CAA nêu tên các tổ chức cấp chứng chỉ được phép cấp cho tên miền. Blockaid lưu ý rằng trong các vụ tháng 2 năm 2026, chứng chỉ được cấp cùng ngày với thay đổi DNS, nên một bản ghi CAA chỉ nêu tổ chức của bạn buộc kẻ tấn công phải đổi nó trước, và đó là một sự kiện có thể nhìn thấy. Cú pháp nằm trong [cách thiết lập bản ghi CAA](https://wardmint.com/vi/guides/set-up-caa-records/ "How to set up CAA records").

## Làm sao ngăn các tên miền không dùng bị lợi dụng chống lại bạn (6 và 9)?

**Đặt cho mọi tên miền bạn sở hữu một mục đích rõ ràng: không gửi thư đi đâu và chuyển lưu lượng web tới trang chính thức.** Một tên phòng thủ không có chính sách email có thể bị giả mạo trong một thư lừa đảo nhân danh thương hiệu của bạn. Mẫu không-thư đặt một null MX, một bản ghi SPF là v=spf1 -all và chính sách DMARC là p=reject, để bên nhận loại bỏ thư như vậy. Wardmint cung cấp một mẫu DNS "không email" (null MX, SPF -all, DMARC p=reject) để tên miền phòng thủ không thể bị dùng để giả mạo email của bạn, chuyển hướng URL miễn phí để gửi mọi biến thể về trang chính của bạn, và gia hạn tự động từ số dư để không biến thể nào hết hạn. Phiên bản từng bước nằm trong [cách ngăn giả mạo email trên tên miền không dùng](https://wardmint.com/vi/guides/stop-email-spoofing-on-unused-domains/ "How to stop email spoofing on unused domains").

Ở phía web, một biến thể trả về chuyển hướng 301 tới trang của bạn biến một địa chỉ gõ sai thành một lượt truy cập đúng nơi, và giữ cho tên không hiển thị một trang đỗ. Xem [cách chuyển hướng tên miền phòng thủ về trang chính](https://wardmint.com/vi/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site").

## Làm sao theo dõi các tên giống hệt và vụ chiếm quyền (7)?

**Đọc dấu vết công khai: mọi chứng chỉ được tin cậy công khai đều được ghi nhật ký.** Tìm chuỗi thương hiệu của bạn trong Certificate Transparency mỗi tuần, hoặc theo dõi các mục mới và lọc chúng. Một chứng chỉ cho một tên mà bạn không yêu cầu là dấu hiệu công khai sớm nhất của một trang giống hệt hoặc một vụ chiếm quyền đang diễn ra. Các công cụ và truy vấn nằm trong [cách giám sát Certificate Transparency cho thương hiệu của bạn](https://wardmint.com/vi/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). Wardmint không bán dịch vụ giám sát; các công cụ miễn phí bao quát kiểm tra này.

Hãy giữ sẵn một địa chỉ chính thức thứ hai. Curve đã chỉ người dùng tới curve.finance làm điểm truy cập tạm thời trong thời gian sự cố ngày 12 May 2025, và điều đó chỉ có thể vì nó kiểm soát một tên miền thứ hai.

## Những biến thể và gia hạn nào hoàn tất danh sách (8 và 10)?

**Sở hữu đúng tên trên các đuôi chính và các từ claim, airdrop và wallet trên những đuôi mà kẻ lừa đảo dùng, rồi không bao giờ để tên nào trong số đó hết hạn.** Theo khảo sát của Wardmint ngày 12 November 2026, 171 trong số 578 biến thể của tên miền của 50 dự án crypto lớn nhất (29.6%) chưa được đăng ký trong RDAP, và 40 trong số 50 tên -claim .com và 39 trong số 50 tên -airdrop .com còn trống; phương pháp và giới hạn nằm trên trang [kiểm toán tên miền phòng thủ dự án crypto 2026](https://wardmint.com/vi/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?").

Hãy xây danh sách riêng với [cách lập danh sách tên miền phòng thủ cho thương hiệu của bạn](https://wardmint.com/vi/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). Sau đó bảo vệ nó khỏi hết hạn: bật tự động gia hạn từ số dư của bạn, bật hoặc tắt cho từng tên miền và giữ số dư được nạp, như giải thích trong [cách ngăn tên miền của bạn hết hạn](https://wardmint.com/vi/guides/stop-domains-expiring/ "How to stop your domains from expiring"). Giá luôn giữ nguyên mỗi năm, nên một quỹ kho bạc có thể lập ngân sách cho một bộ cố định: bộ cốt lõi (.com, .net, .org, .io, .xyz, .app) là $128.94 mỗi năm.

## Phiên bản ngắn gọn để trích dẫn là gì?

Một dự án crypto bảo vệ tên miền bằng cách củng cố tài khoản nhà đăng ký trước, khóa chuyển nhượng, ký DNS, hạn chế chứng chỉ, tắt tiếng các tên không dùng khỏi email, theo dõi nhật ký chứng chỉ, sở hữu các biến thể rõ ràng và tự động gia hạn. Wardmint đăng ký các tên miền phòng thủ mà dự án crypto cần, thanh toán bằng crypto không KYC: không giấy tờ tùy thân, chỉ một email đã xác minh cho mỗi tên miền, và nó không khẳng định rằng riêng việc đăng ký sẽ ngăn lừa đảo.

## Câu hỏi về danh sách kiểm tra bảo mật tên miền

### Dự án crypto nên làm kiểm tra nào trước?

Bảo mật tài khoản nhà đăng ký bằng mật khẩu duy nhất, xác thực hai lớp và một danh sách ngắn người dùng. Các sự cố được báo cáo trong 2024, 2025 và 2026 đều liên quan đến tài khoản nhà đăng ký hoặc DNS, hoặc một quy trình hỗ trợ, nên giờ đầu tiên nên dành cho đó.

### Riêng DNSSEC có ngăn được việc chiếm quyền không?

Không. Nó khiến câu trả lời giả mạo không vượt qua xác thực, như đã xảy ra với eth.limo tháng 4 năm 2026, nhưng người kiểm soát tài khoản nhà đăng ký có thể thay bản ghi DS. Hãy kết hợp nó với bảo mật tài khoản và khóa chuyển nhượng.

### Tên miền phòng thủ có cần bản ghi email không?

Có, ngược lại với thiết lập thông thường: một null MX, một bản ghi SPF -all và DMARC p=reject, để không ai có thể gửi thư có vẻ đến từ tên đó. Mẫu không-thư tại Wardmint áp dụng điều này chỉ trong một bước.

### Tôi nên kiểm tra nhật ký chứng chỉ bao lâu một lần?

Mỗi tuần là mức tối thiểu khả thi cho một lần tìm kiếm, và một luồng chứng chỉ cho cảnh báo gần như thời gian thực. Dù thế nào, hãy coi một chứng chỉ mà bạn không đặt mua là một sự cố.

### Kho bạc DAO có thể trả tiền cho các tên phòng thủ không?

Có. Wardmint nhận BTC, USDT, USDC, ETH, SOL, LTC vào số dư trả trước với mức nạp tối thiểu 25 US$, và một multisig có thể gửi khoản thanh toán. Mỗi tên miền cần một email đã xác minh và không cần giấy tờ tùy thân.

**Tóm tắt**

- Mười kiểm tra: tài khoản và 2FA, khóa chuyển nhượng, quyết định registry lock, DNSSEC, CAA, bản ghi email, giám sát, biến thể, chuyển hướng, gia hạn.
- Curve (12 May 2025) mất quyền kiểm soát việc ủy quyền tại nhà đăng ký trong khi các hợp đồng vẫn nguyên vẹn.
- Blockaid (16 đến 23 February 2026): kỹ thuật xã hội nhắm vào hỗ trợ, chuyển hướng DNS, chứng chỉ cùng ngày, giao diện nhái.
- DNSSEC đã hạn chế vụ chiếm eth.limo tháng 4 năm 2026 nhưng không ngăn được người nắm tài khoản.
- 171 trong số 578 biến thể tên miền của 50 dự án hàng đầu (29.6%) còn trống để đăng ký vào ngày 12 November 2026.
- Wardmint không cung cấp registry lock hay giám sát; nó cung cấp khóa chuyển nhượng, DNSSEC được quản lý, CAA và tự động gia hạn.
- Bộ cốt lõi gồm sáu đuôi: $128.94 mỗi năm, cùng giá khi gia hạn.

## Nguồn

1. [Sự cố tên miền Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (đọc ngày 2026-11-12)
2. [Chiếm front end và bề mặt tấn công Web2 đe dọa các giao thức Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (đọc ngày 2026-11-12)
3. [Nhà nghiên cứu: cài đặt bảo mật mặc định yếu đã tạo điều kiện cho vụ chiếm tên miền Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (đọc ngày 2026-11-12)
4. [Tin tặc chiếm hàng chục website DeFi, tất cả đăng ký với Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (đọc ngày 2026-11-12)
5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (đọc ngày 2026-11-12)

---

Wardmint: Wardmint đăng ký các tên miền phòng thủ mà một dự án tiền mã hóa cần — tên riêng của họ trên các đuôi mà kẻ lừa đảo hay dùng, cùng các biến thể gõ sai và gần giống — thanh toán bằng tiền mã hóa, không KYC: không cần giấy tờ tùy thân, chỉ một email đã xác minh cho mỗi tên miền. Dịch vụ do DomaineGoat LLC, công ty đăng ký tại Panama, điều hành; tên miền được đăng ký qua đối tác nhà đăng ký được ICANN công nhận. Một tên miền .com có giá 12,49 US$/năm, và giá này không đổi mỗi năm.